Squid-wachtwoorden en de limiet van acht tekens van DES crypt
Herleid de schijnbare wachtwoordafkapping naar het opgeslagen hashformaat voordat je Squid de schuld geeft of stil een incompatibel wachtwoordbestand opnieuw genereert.
Een proxy accepteert een oud wachtwoord wanneer het einde verandert, of een migratie van het wachtwoordbestand breekt plotseling accounts met lange wachtwoorden. Inspecteer het hashformaat voordat je ieders wachtwoord inkort.
htpasswd -d van Apache kiest de oude crypt()-hashing. De gedocumenteerde DES-beperking is acht significante wachtwoordtekens. Die beperking hoort bij het formaat, niet bij een universele regel van acht tekens voor wachtwoorden in Squid.
De NCSA-helper leest de opgeslagen wachtwoordweergave en verifieert de opgegeven waarde met de formaten die die helper en zijn platform ondersteunen. Een bestand “htpasswd-formaat” noemen garandeert niet dat elke historische en huidige helper elk hashalgoritme accepteert dat elke htpasswd-optie produceert.
Migreer de weergave bewust
Bewaar een beveiligde back-up en bepaal het formaat dat bestaande vermeldingen gebruiken. Controleer de handleiding van de geïnstalleerde helper en de build van de distributie voordat je het vervangende algoritme kiest.
Verifieer daarna een klein goedgekeurd testaccount via dezelfde helper en hetzelfde proxypad als de echte accounts. Dat een generator een bestand met succes schrijft, bewijst niet dat de consumerende helper het kan valideren. Gebruik een testwachtwoord waarvan de significante tekens voorbij de oude grens reiken.
Van formaat wisselen vereist meestal het werkelijke wachtwoord of een wachtwoordreset. Een oude hash kan niet worden omgezet in een sterkere hash van het volledige oorspronkelijke wachtwoord als die informatie nooit is bewaard.
Onderscheid ten slotte migratiefouten van gecachte authenticatie. Een al geauthenticeerde client kan nog een tijdje blijven werken, zelfs wanneer een nieuwe validatie zou mislukken. Plan de uitrol rond zowel verse authenticatie als bestaande sessies.
Publiceer het wachtwoordbestand niet in een bugrapport. De algoritmemarkering en een synthetisch account leveren meestal bruikbaarder bewijs dan de hashes van echte gebruikers.